[2026-10-2] L’EMA (European Medicines Agency, Agence européenne des médicaments) a publié, le 2 octobre 2026, le rapport de son atelier multipartite consacré à la future annexe 22 « Intelligence artificielle » (IA) du guide européen des bonnes pratiques de fabrication (BPF, ou GMP en anglais).
Le rapport est un PDF de 15 pages (référence EMA/156789/2026). Il s’intitule « Report – Multistakeholder workshop on expert contributions to artificial intelligence guidance development (Annex 22) ». Il est disponible sur la page de l’événement. L’atelier a été organisé par le groupe de travail des inspecteurs BPF/BPD. Il synthétise les échanges de la session ouverte du 30 juin 2026.
Contexte
L’annexe 22 doit compléter l’annexe 11 (systèmes informatisés) pour les systèmes intégrant des modèles d’IA. La version précédente du projet d’annexe excluait auparavant l’IA générative et les grands modèles de langage (Large Language Models, LLM). Il excluait aussi les modèles probabilistes, dynamiques ou adaptatifs.
La consultation, soumise en 2025, s’est montrée favorable à leur ouverture. Le groupe de rédaction envisage donc d’élargir le champ de l’annexe, à condition que l’usage repose sur une stratégie de contrôle robuste, documentée et fondée sur les risques. Ainsi, il a soumis aux experts une liste de questions réparties en six thèmes présentés ci-après.
Pour chaque thème, cet article reprend les points clés. Nous vous invitons à vous plonger dans le rapport pour entrer dans le détail des questions posées et des réponses apportées par les participants.
Sujet 1 – Voies réglementaires pour les modèles d’IA adaptatifs ou probabilistes dans les BPF (Regulatory Pathways for Adaptive/probabilistic AI models in GMP)
- les principes existants de gestion des risques qualité et de cycle de vie s’appliquent à l’IA, y compris aux modèles adaptatifs et probabilistes ;
- l’acceptabilité d’un modèle ne dépend pas de sa technologie, mais de l’usage prévu, de l’impact, de l’incertitude, de la complexité et de la stratégie de contrôle ;
- un risque plus élevé impose davantage de formalisme et des contrôles renforcés ;
- la détectabilité des défaillances est un critère pertinent, surtout lorsque les erreurs sont difficiles à repérer ;
- l’annexe doit éviter les prescriptions techniques détaillées et rester cohérente avec l’annexe 11, le chapitre 4 et les lignes directrices ICH (Conseil international d’harmonisation des exigences techniques pour l’enregistrement des médicaments à usage humain).
Sujet 2 – Fiabilité technique et réponse aux incidents (Technical Reliability & Incident Response)
- les contrôles sont organisés en couches : prévention en entrée, détection dans le modèle, confinement en sortie ;
- chaque contrôle est relié à l’usage prévu, aux modes de défaillance et à des critères d’acceptation mesurables ;
- les défaillances non anticipées doivent alimenter la mise à jour des analyses de risques au fil du cycle de vie ;
- l’annexe principale doit éviter les détails techniques de nature temporaire ; les exemples peuvent être intégrés dans des recommandations pouvant être mises à jour ;
- un modèle fourni par un tiers ou via une API (interface de programmation) doit apporter suffisamment de preuves et de transparence pour être maîtrisé.
Sujet 3 – Supervision humaine et responsabilité (Human Oversight & Accountability)
- la supervision humaine (human oversight) est plus large que l’« humain dans la boucle » (human-in-the-loop) et couvre tout le cycle de vie ;
- l’humain dans la boucle n’est qu’un type de contrôle possible, pas une exigence par défaut ;
- la supervision est proportionnée au risque, à l’autonomie, à l’incertitude, à la complexité et à l’impact de la décision ;
- la formation, la qualification et la capacité à contester le résultat de l’IA sont essentielles ;
- la supervision doit être démontrée et revue périodiquement ; elle ne peut pas compenser une validation insuffisante.
Sujet 4 – Validation et gestion du cycle de vie (Validation & Lifecycle Management)
- la validation est un processus continu, et non un événement ponctuel ;
- sa profondeur dépend de l’usage prévu, de l’incertitude, de l’importance, de la complexité, de l’autonomie et du caractère adaptatif du modèle ;
- la vérification indépendante reste une exigence essentielle, mais sa mise en œuvre dans le cadre des systèmes d’apprentissage continu nécessite des précisions. ;
- la surveillance, la maîtrise des modifications, la gestion des incidents et les actions correctives et préventives (CAPA) font partie de la validation ;
- la surveillance des fournisseurs et des prestataires de services cloud est essentielle, car la responsabilité incombe toujours à l’utilisateur soumis à la réglementation.
Sujet 5 – Risques stratégiques et limites de conformité (Strategic Risk & Compliance Limits)
- le secteur n’a pas soutenu l’idée d’une interdiction catégorique ; l’utilisation et les risques doivent être évalués en fonction du contexte ;
- l’analyse de risques peut conclure à ne pas utiliser le modèle lorsque l’incertitude n’est pas maîtrisable ;
- la maîtrise doit être démontrée à l’aide de scénarios de risque cartographiés, de mesures de contrôle, ainsi que de preuves issues de la vérification et du suivi ;
- la criticité seule ne suffit pas : l’influence du modèle, l’incertitude, la complexité et la détectabilité doivent être considérées ;
- la responsabilité reste aux personnes qualifiées et responsables, et ne peut pas être déléguée à l’IA.
Sujet 6 – Cybersécurité et activités externalisées (Cybersecurity and Outsourced activities)
- un système d’IA doit être considéré comme un système informatisé pour la cybersécurité et la gestion de l’externalisation ;
- le chapitre 7 de l’Annexe 11 est jugé applicable et suffisant sur le plan des principes ;
- l’utilisateur réglementé reste responsable, même en cas de recours à un service tiers d’IA ou de cloud ;
- Les accords avec les fournisseurs doivent porter sur les responsabilités, les justificatifs, la configuration et le contrôle des modifications ;
- des exemples propres à l’IA peuvent être utiles, mais l’Annexe 22 doit éviter de dupliquer l’Annexe 11.
Conclusion du rapport
Dans l’ensemble, l’atelier a atteint son objectif : recueillir des contributions structurées et fondées sur l’expérience auprès du secteur concernant la gouvernance, le contrôle, la validation et la surveillance des systèmes d’IA. Aucun calendrier de publication de l’annexe 22 n’est pour le moment indiqué.
Groupe HMA-EMA sur l’IA avec l’industrie
En complément et sur le même thème, le groupe HMA-EMA a publié le 13 octobre 2026 un compte rendu de la réunion du groupe HMA-EMA consacré à l’IA, avec des industriels. Il s’agit d’un PDF de 3 pages (référence EMA/227688/2026), intitulé « Summary notes of the HMA-EMA group focused on AI with industry stakeholders ».
Il porte sur la réunion du 5 octobre 2026. Les principaux points discutés sont résumés ci-après.
Contribution des autorités du médicament à l’innovation en IA en Europe (Perspectives on medicines regulatory contribution to enabling AI innovation in Europe)
L’ACRO (Association of Clinical Research Organizations) a proposé quatre axes : accélérer le développement clinique assisté par l’IA (données synthétiques, jumeaux numériques, bras de contrôle externes), clarifier le cadre réglementaire, rendre les données interopérables et soutenir les écosystèmes européens.
Les autorités ont insisté sur la nécessité de définir clairement les termes et les contextes d’utilisation. Selon elles, les attentes en matière de preuves peuvent varier selon la finalité réglementaire visée.
Interopérabilité des données (Data interoperability)
L’industrie a souligné que les données réglementaires publiques doivent être accessibles, lisibles par machine et réutilisables. Parmi elles figurent celles du CTIS (système d’information sur les essais cliniques), les EPAR (rapports européens publics d’évaluation) et les données de pharmacovigilance. La pharmacovigilance est présentée comme un domaine mature pour l’IA, sous supervision humaine.
Les autorités ont mis en avant les travaux en cours concernant le cadre de normalisation des données de l’EMRN (réseau européen de réglementation des médicaments) ainsi que les travaux futurs relatifs à un cadre d’analyse des données.
Point sur le groupe de coordination des lignes directrices IA (Update on the AI Guidance Coordination Group)
Ce nouveau groupe assure une vue d’ensemble des travaux sur l’IA au sein du réseau européen, identifie les chevauchements et les lacunes, et fait le lien avec la Commission européenne. Il ne rédigera ni n’approuvera de textes, et ne remplace pas les comités scientifiques existants.
Coopération internationale (International collaboration)
EuropaBio a présenté les priorités de convergence de l’industrie : principes, terminologie, évaluation des risques et validation des systèmes d’IA en environnement BPx. La collaboration avec la FDA se poursuit, notamment sur un glossaire commun de l’IA. Des échanges ont également lieu au sein de l’ICMRA (coalition internationale des autorités de réglementation des médicaments).
Des discussions entre la Commission européenne, l’EMA et la FDA sont prévues en novembre 2026.
Lignes directrices sur l’IA en développement clinique (AI guidance in clinical development)
L’EUCOPE (European Confederation of Pharmaceutical Entrepreneurs) a fait le point sur les travaux en cours visant à préparer une contribution consolidée en vue des futures recommandations sur l’IA dans le domaine du développement clinique
La MPA (agence suédoise des produits médicaux) a présenté un point sur les travaux du réseau réglementaire concernant les recommandations en matière d’IA pour le développement clinique. Elle souligne le besoin d’un cadre cohérent entre médicaments, essais cliniques et dispositifs médicaux .
Un document de réflexion (concept paper) est en cours de finalisation et sera soumis à consultation publique. En parallèle, les travaux avancent sur un document d’orientation horizontal portant sur les principes généraux de l’apprentissage automatique applicables tout au long du cycle de vie des médicaments
Clôture
Le forum annuel multipartite sur les données et l’IA se tiendra les 12 et 13 novembre 2026 à l’EMA. La prochaine réunion du groupe est fixée au 2 février 2027.
Conclusion
Avec ces publications, le message de l’EMA est clair : l’IA est une réalité avec laquelle il faut désormais compter dans le domaine pharmaceutique. Une réalité qui nécessite de mobiliser de multiples forces vives (autorités, associations, industriels) pour construire un cadre réglementaire adapté pour les médicaments.
Article rédigé par Christophe Saillet, membre du réseau DMEXPERTS.